Email Phising Tidak Selalu Terlihat Seperti Phising

Email Phising Tidak Selalu Terlihat Seperti Phising – Selama ini, banyak orang mengenali email phising melalui tanda-tanda sederhana: alamat pengirim yang aneh, kesalahan ejaan, logo yang tidak jelas, atau tautan dengan nama domain mencurigakan.

Cara tersebut memang masih berguna. Namun, mengandalkan tanda-tanda tersebut saja kini tidak lagi cukup.

Pelaku email phising semakin pintar membuat pesan yang terlihat seperti komunikasi resmi. Bahkan, dalam sejumlah kampanye terbaru, penyerang tidak selalu menggunakan halaman login palsu yang mudah dikenali. Mereka justru memanfaatkan layanan dan infrastruktur digital yang sah agar email terlihat lebih meyakinkan.

Perkembangan ini menunjukkan bahwa email phising tidak hanya berubah dari sisi tampilan, tetapi juga dari cara penyerang membangun kepercayaan korbannya.

Sebuah email dapat terlihat resmi, menggunakan nama layanan yang dikenal, bahkan mengarahkan pengguna ke halaman autentikasi yang benar-benar milik penyedia layanan.

Namun, di balik proses tersebut tetap terdapat tujuan yang sama: membuat korban memberikan akses, kredensial, atau persetujuan kepada penyerang.

Ketika Email Phising Menggunakan Layanan yang Sah

Salah satu contoh terbaru ditemukan oleh peneliti pada periode 25 Juni hingga minggu kedua Juli 2026.

Peneliti mengidentifikasi lebih dari 200 email phising yang menargetkan pengguna di sekitar 120 organisasi di berbagai negara dan sektor. Email tersebut menyamar sebagai notifikasi Microsoft Teams yang berkaitan dengan tugas atau aktivitas HR.

Sekilas, penerima mungkin menganggap pesan tersebut sebagai pemberitahuan pekerjaan biasa.

Yang membuat kampanye ini menarik adalah penyerang tidak sekadar mengarahkan korban ke halaman login Microsoft palsu. Korban justru diarahkan melalui infrastruktur autentikasi Microsoft yang sah. Setelah itu, korban diminta memberikan izin kepada sebuah aplikasi yang dikendalikan penyerang.

Teknik semacam ini membuat beberapa kebiasaan lama dalam mengenali phising menjadi kurang efektif.

Jika selama ini pengguna diajarkan untuk memeriksa apakah alamat website menggunakan domain resmi, maka dalam skenario tersebut alamat yang terlihat memang dapat merupakan domain resmi.

Masalahnya bukan lagi sekadar “Apakah website ini asli?”

Pertanyaan yang lebih penting adalah:

“Apa yang sebenarnya saya izinkan ketika mengikuti proses ini?”

Jangan Hanya Melihat Alamat Website

Pengguna sering diberi nasihat untuk memeriksa URL sebelum memasukkan password.

Nasihat tersebut tetap penting.

Namun, perkembangan email phising menunjukkan bahwa pengguna juga harus memperhatikan apa yang diminta oleh sebuah layanan setelah proses login.

Dalam kampanye yang ditemukan peneliti keamanan siber, korban akhirnya diminta memberikan izin kepada aplikasi yang dikendalikan penyerang.

Dengan memberikan persetujuan tersebut, pengguna pada dasarnya membuka akses kepada pihak lain melalui mekanisme yang memang disediakan oleh layanan resmi.

Inilah yang membuat serangan menjadi berbahaya.

Tidak ada halaman login palsu yang terlihat mencolok. Tidak ada kesalahan ejaan yang harus dicari. Bahkan pengguna dapat melihat halaman autentikasi yang benar-benar familiar.

Karena itu, keamanan email tidak cukup hanya mengajarkan pengguna untuk membedakan website asli dan palsu.

Pengguna juga harus memahami permintaan izin, akses aplikasi, dan konsekuensi dari tombol “Accept”, “Allow”, atau “Approve”.

Email yang Datang dari Sistem Resmi Juga Perlu Diperiksa

Perkembangan lain yang patut diperhatikan adalah penggunaan layanan resmi untuk mengirimkan pesan yang kemudian dimanfaatkan dalam rangkaian serangan.

Pada Juni 2026, tim riset Mimecast menemukan kampanye ber-volume rendah yang menargetkan staf dan pengajar universitas serta institusi kesehatan di Australia dan Amerika Serikat.

Pesan tersebut memanfaatkan notifikasi berbagi file Microsoft OneDrive. Email terlihat seperti pemberitahuan file yang dibagikan kepada penerima.

Setelah korban mengikuti tautan dan melewati beberapa tahap pengalihan, mereka akhirnya diarahkan ke halaman login Microsoft 365 palsu untuk mencuri kredensial dan token sesi.

Yang perlu diperhatikan adalah bagaimana penyerang memanfaatkan kebiasaan pengguna mempercayai notifikasi otomatis dari layanan yang biasa digunakan.

Ketika seseorang menerima email dengan subjek seperti “file telah dibagikan kepada Anda”, reaksi alami adalah membuka pesan tersebut.

Penyerang memanfaatkan reaksi tersebut.

Bahkan Email Zoom Bisa Disalahgunakan

Teknik serupa juga terlihat dalam kampanye yang memanfaatkan Zoom Events.

Peneliti menemukan email phising yang berisi pemberitahuan seolah-olah sebuah file telah dibagikan kepada penerima. Pesan tersebut dikirim melalui infrastruktur Zoom sehingga terlihat berasal dari alamat resmi Zoom Events.

Bagi penerima, situasinya terlihat normal:

• Ada nama Zoom.
• Ada pemberitahuan file.
• Ada tombol untuk melihat atau melakukan preview.
• Dan email terlihat seperti notifikasi otomatis.

Padahal, tujuan akhirnya adalah membawa korban ke rangkaian serangan yang dapat berujung pada pemasangan malware.

Kasus seperti ini memberikan pelajaran penting: identitas pengirim yang terlihat resmi bukan satu-satunya ukuran keamanan sebuah email.

Pengguna tetap harus mempertanyakan apakah mereka memang sedang menunggu file, undangan, pemberitahuan, atau tindakan yang disebutkan dalam email tersebut.

Mengapa Email Phising Masih Berhasil?

Teknologi keamanan email terus berkembang. Namun, penyerang juga terus mencari cara untuk menghindarinya.

Laporan Microsoft mengenai lanskap ancaman email pada kuartal kedua 2026 menunjukkan bahwa phising tetap menjadi salah satu komponen penting dalam serangan berbasis email.

Bahkan setelah infrastruktur phising-as-a-service tertentu berhasil diturunkan, pola serangan dapat berubah dan pelaku mencari metode baru.

Laporan 2026 juga menyebut credential phising sebagai jalur masuk utama dan mencatat bahwa phising yang berhasil dapat berkembang menjadi kompromi identitas dan penipuan lanjutan.

Artinya, email phising masih efektif bukan karena teknologinya sederhana, tetapi karena email merupakan media komunikasi yang sangat dipercaya dan digunakan setiap hari.

Penyerang hanya membutuhkan satu penerima yang lengah.

Jangan Terjebak oleh Rasa Urgensi

Salah satu senjata paling efektif dalam email phising adalah rasa terburu-buru.

Pesan dapat mengatakan:

• “Akun Anda akan dinonaktifkan hari ini.”
• “Anda memiliki dokumen yang harus segera diperiksa.”
• “Tugas HR Anda belum diselesaikan.”
• “Pesan penting menunggu Anda.”
• “Segera lakukan verifikasi untuk menghindari pembatasan akun.”

Ketika menerima pesan semacam itu, pengguna cenderung fokus menyelesaikan masalah, bukan memeriksa apakah pesan tersebut benar.

Penyerang memang menginginkan reaksi seperti itu.

Karena itu, salah satu kebiasaan paling penting dalam menghadapi email mencurigakan adalah berhenti sejenak sebelum bertindak.

• Jangan langsung mengklik.
• Jangan langsung membalas.
• Jangan langsung memasukkan password.
• Dan jangan langsung memberikan persetujuan.

Perhatikan Konteks, Bukan Hanya Tampilan

Sebuah email dapat memiliki logo yang benar, tata bahasa yang sempurna, format yang profesional, dan nama pengirim yang terlihat familiar.

Namun, tanyakan:

• Apakah saya memang sedang menunggu email ini?
• Jika sebuah email mengatakan ada dokumen yang dibagikan kepada Anda, apakah Anda memang sedang menunggu dokumen tersebut?
• Jika email mengatakan ada tugas HR, apakah Anda memang sedang memiliki tugas tersebut?
• Jika email meminta melakukan login, mengapa harus dilakukan melalui email?
• Jika email meminta memberikan izin kepada sebuah aplikasi, apakah Anda mengetahui aplikasi tersebut?

Pertanyaan-pertanyaan sederhana seperti ini dapat membantu memutus rantai serangan sebelum pengguna melakukan tindakan berisiko.

Jangan Verifikasi Menggunakan Email yang Sama

Jika menerima email yang terlihat berasal dari perusahaan, bank, vendor, rekan kerja, atau administrator sistem, jangan gunakan informasi kontak yang terdapat dalam email tersebut untuk melakukan verifikasi.

Mengapa?

Karena jika email memang merupakan phising, informasi kontak di dalamnya juga dapat dikendalikan penyerang.

Gunakan kanal yang berbeda.

Misalnya, jika menerima email yang mengaku berasal dari bagian IT, hubungi tim IT melalui nomor internal atau kanal resmi perusahaan.

Jika menerima pemberitahuan dari sebuah layanan, buka aplikasi atau website layanan tersebut secara manual melalui bookmark atau alamat yang sudah diketahui, bukan melalui tautan di email.

Prinsip sederhananya:

Jangan memverifikasi pesan mencurigakan menggunakan pesan yang sama.

Bagaimana Jika Sudah Terlanjur Klik?

Kesalahan dapat terjadi pada siapa saja. Jika sudah mengklik tautan dalam email phising tetapi belum memasukkan informasi apa pun, tutup halaman tersebut dan laporkan email kepada pihak yang bertanggung jawab.

• Jika sudah memasukkan username dan password, segera lakukan perubahan password melalui website atau aplikasi resmi.
• Jika password tersebut digunakan pada layanan lain, ubah juga di layanan tersebut.
• Jika tersedia, aktifkan MFA dan periksa aktivitas login yang tidak dikenal.
• Jika Anda sempat memberikan persetujuan kepada sebuah aplikasi, jangan hanya mengganti password. Periksa juga daftar aplikasi yang memiliki akses ke akun dan cabut izin terhadap aplikasi yang tidak dikenal.

Untuk lingkungan perusahaan, segera laporkan insiden kepada tim IT atau keamanan informasi agar pemeriksaan lebih lanjut dapat dilakukan.

Kecepatan melapor sangat penting karena semakin cepat insiden diketahui, semakin besar peluang akses penyerang dapat dihentikan sebelum berkembang menjadi kompromi yang lebih luas.

Email Phising Tidak Selalu Terlihat Seperti Phising

Inilah perubahan yang harus dipahami pengguna. Email phising modern tidak selalu terlihat seperti email phising.

• Ia bisa menggunakan layanan yang sah.
• Ia bisa memiliki tampilan profesional.
• Ia bisa menggunakan bahasa yang sempurna.
• Ia bisa menggunakan nama perusahaan yang benar.

Bahkan, pengguna bisa saja berakhir di halaman autentikasi resmi. Namun, proses di baliknya tetap dapat diarahkan untuk memberikan akses kepada penyerang.

Karena itu, edukasi keamanan email harus berkembang.

Jangan hanya mengajarkan:
“Periksa alamat email pengirim.”

Jangan hanya mengatakan:
“Periksa URL sebelum login.”

Tetapi ajarkan juga:
“Pahami apa yang diminta email tersebut dan apa konsekuensinya jika Anda menyetujui permintaan tersebut.”

Waspada Sebelum Percaya

Email merupakan bagian penting dari aktivitas digital sehari-hari. Karena digunakan untuk pekerjaan, komunikasi, transaksi, notifikasi, hingga pemulihan akun, email juga menjadi sasaran yang sangat menarik bagi penyerang.

Perkembangan kampanye terbaru menunjukkan bahwa batas antara email resmi dan email berbahaya semakin sulit dibedakan hanya melalui tampilan. Karena itu, pengguna perlu membangun kebiasaan baru.

• Jangan percaya hanya karena email terlihat profesional.
• Jangan percaya hanya karena nama pengirim terlihat familiar.
• Jangan percaya hanya karena tautan membawa Anda ke domain yang dikenal.

Dan jangan memberikan izin hanya karena sebuah email mengatakan bahwa hal tersebut diperlukan.

Berhenti sejenak, periksa konteksnya, verifikasi melalui kanal yang terpisah, dan pahami apa yang sebenarnya Anda berikan sebelum menekan tombol.

Dalam menghadapi email phising, kehati-hatian bukan berarti mencurigai setiap email.

Kehati-hatian berarti tidak memberikan kepercayaan sebelum kita memastikan bahwa pesan tersebut memang layak dipercaya.

Sumber berita:

WeLiveSecurity